tcpdump中源端口号也是TCP头部的字段，为什么不能放在中括号里面

非常抱歉，我之前的回答有误。在 tcpdump 的过滤器表达式中，源端口号和目的端口号都可以作为过滤选项放在中括号里面。

例如，`tcp [src port <port>]` 可以匹配源端口号为 `<port>` 的 TCP 数据包，`tcp [dst port <port>]` 可以匹配目的端口号为 `<port>` 的 TCP 数据包。

需要注意的是，放在中括号里的选项需要使用正确的语法，包括正确的字段名和可选的操作符。在 TCP 头部中，源端口号和目的端口号各占用了 2 个字节，因此可以使用 `src port` 和 `dst port` 分别指定源端口号和目的端口号。

相关问题

tcpdump tcp[tcpflags] tcpflags只能放在中括号里面吗？src为什么不用？

在 tcpdump 的过滤器表达式中，TCP 头部的标志位字节可以使用 tcpflags 或者 tcp[tcpflags] 来表示。两者的作用是相同的，都是匹配 TCP 头部的标志位字节。

而对于 IP 数据包头部的源地址字段，可以使用 src 或者 ip src 来表示，两者的作用也是相同的。这是因为在 tcpdump 的过滤器表达式中，有些字段可以使用简写，比如 src 就是简写形式，而 ip src 就是完整形式。

需要注意的是，在 tcpdump 的过滤器表达式中，如果一个字段不是 TCP 头部、IP 头部或者数据包负载等部分的内容，那么就不能使用中括号来表示。比如，如果要匹配 UDP 协议的数据包，可以使用 udp 来表示，而不能使用 udp[] 来表示。

tcpdump 监控本地端口tcp报文举例

要监控本地端口的TCP报文，可以使用以下命令：

sudo tcpdump -i lo tcp port <port number>

其中，`-i lo` 表示监控本地回环接口，`tcp port <port number>` 表示仅监控指定端口的TCP报文。

例如，要监控本地的80端口（HTTP），可以使用以下命令：

sudo tcpdump -i lo tcp port 80

这样就可以查看来自本地80端口的TCP报文了。